Was ist SonarQube MCP Server?
Der SonarQube MCP Server ist der offizielle Server von SonarSource, der KI-Agenten mit SonarQube Cloud und SonarQube Server verbindet. Das Repo heißt SonarSource/sonarqube-mcp-server (einen separaten sonar-mcp-server gibt es nicht); Version 1.31.0 erschien am 2. November 2026. Ein Agent kann damit Issues und Security Hotspots durchsuchen, das Quality Gate eines Projekts prüfen, Daten zu Testabdeckung, Duplikaten und Abhängigkeitsrisiken lesen und Sonars Analyzer auf eine Datei loslassen, bevor sie committet wird.
Du betreibst ihn selbst als Container sonarsource/sonarqube-mcp über stdio oder Streamable HTTP, oder du richtest seit März 2026 einen HTTP-Client auf den in SonarQube Cloud eingebauten gehosteten Endpunkt https://api.sonarcloud.io/mcp. Der Server selbst ist kostenlos und steht unter der quelloffenen, aber nicht freien SONAR Source-Available License; nützlich ist er aber nur so weit wie der SonarQube-Plan dahinter.
SonarQube MCP Server installieren
docker run --init -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp (or https://api.sonarcloud.io/mcp)Lohnt sich SonarQube MCP Server?
Der SonarQube MCP Server lohnt sich für jedes Team, das Pull Requests bereits über SonarQube freigibt, und ist für alle anderen nahezu nutzlos. Sein Wert liegt darin, dass der Agent dieselben Issues, Regeln und dasselbe Quality-Gate-Urteil sieht, die deine CI anwenden wird, und ein scheiterndes Gate beheben kann, bevor der Pull Request überhaupt geöffnet wird. Das README dokumentiert 51 Tools in 20 Toolsets, von search_sonar_issues_in_projects und get_project_quality_gate_status bis zu Abdeckungsabfragen, die genau die nicht abgedeckten Zeilen auflisten.
Die Analyse muss man verstehen. Das Standard-Tool analyze_code_snippet lässt Sonars Analyzer über eine Datei laufen, doch der Agent muss die ganze Datei als Argument übergeben, was bei jedem Aufruf Kontext kostet; wird das Projekt unter /app/mcp-workspace in den Container gemountet, liest der Server die Dateien stattdessen von der Platte. Die tiefere Vortex-Analyse und die Code-Kontext-Tools (Aufrufgraphen, Typhierarchien, Abhängigkeitsprüfungen) funktionieren nur über stdio, brauchen einen Workspace-Mount und eine Organisation mit Berechtigung für das Vortex-Add-on, das Sonars Preisseite für Enterprise-Kunden führt.
Der gehostete Cloud-Endpunkt erspart Docker, beschneidet aber die Werkzeuge: Laut Sonars Doku bietet er „eine kleinere, feste Auswahl an Tools“, schaltet schwere Analysen zum Schutz der geteilten Infrastruktur ab und kann kein Vortex. Die Anmeldung per OAuth funktioniert dort für eine genehmigte Liste von Clients, darunter Claude Code, Codex, Cursor, VS Code und ChatGPT; selbst betriebene Server brauchen weiterhin ein SonarQube-User-Token, und SonarQube Server muss mindestens Version 2025.1 sein.
Der Haken: Schreib-Tools sind aktiv, solange du nicht SONARQUBE_READ_ONLY=true setzt. Ein Agent kann also ein Issue als False Positive markieren oder einen Security Hotspot akzeptieren, genau die Abkürzung, die ein Modell unter Druck, ein Gate zu bestehen, nehmen könnte. Der selbst betriebene Server schickt außerdem standardmäßig anonyme Nutzungstelemetrie an SonarSource (laut README ohne Quellcode), bis du TELEMETRY_DISABLED=true setzt, und offene Issues berichten, dass jeder Aufruf scheitert, bis der Server neu gestartet wird, nachdem seine SonarQube-Instanz neu gestartet wurde.
Unsere Einschätzung: im Nur-Lese-Modus betreiben und das Quality Gate in der CI die letzte Instanz bleiben lassen. Für ein Team ohne Sonar-Vertrag passt der Server von Semgrep besser, weil dessen kostenlose Engine für sich allein funktioniert.
Wo es sich lohnt
Ein Java-Team mit 15 Entwicklern auf SonarQube Cloud Team
Verhindern, dass vom Agenten geschriebene Pull Requests am Quality Gate scheitern
Der Agent ruft auf seinem Branch get_project_quality_gate_status und search_sonar_issues_in_projects auf, behebt, was er findet, und öffnet erst dann den Pull Request. Mit SONARQUBE_READ_ONLY=true betreiben, damit er Code repariert statt Issues zu schließen. Kostet nichts über den Team-Plan hinaus, ab 34 $ im Monat für 100.000 Zeilen.
Eine Entwicklerin, die die Testabdeckung eines Altmoduls erhöhen soll
Tests für die Zeilen schreiben, die niemand abgedeckt hat
search_files_by_coverage listet die am schlechtesten abgedeckten Dateien, get_file_coverage_details liefert die genauen nicht abgedeckten Zeilen und Zweige, sodass der Agent gezielte Tests schreibt, statt zu raten.
Ein Engineering-Manager bei einer Bank, die lokales Docker verbietet
Entwicklern Sonar-Befunde in ihrem KI-Assistenten geben, ohne etwas zu installieren
Claude Code oder VS Code auf https://api.sonarcloud.io/mcp richten und per OAuth anmelden. Der gehostete Server hat weniger Tools und keine schweren Analysen, braucht aber weder Deployment noch Token-Verwaltung auf den Laptops.
Bevor du dich festlegst
- Einrichtung
- docker run --init -i --rm -e SONARQUBE_TOKEN -e SONARQUBE_ORG sonarsource/sonarqube-mcp, mit dokumentierten Konfigurationen für Claude Code, Codex, Cursor, Copilot, Gemini CLI, Kiro, VS Code, Windsurf und Zed und einem Konfigurationsgenerator unter mcp.sonarqube.com; oder der gehostete Endpunkt https://api.sonarcloud.io/mcp (https://api.sonarqube.us/mcp für die US-Region).
- Integrationen
- 51 Tools in 20 Toolsets: Issues, Security Hotspots, Quality Gates, Regeln, Kennzahlen, Testabdeckung, Duplikate, Abhängigkeitsrisiken, Quellcode, Webhooks, Portfolios und Server-Administration, dazu Vortex-Kontext- und Architektur-Tools. Zu den Schreib-Tools gehören change_sonar_issue_status, change_security_hotspot_status und create_webhook; SONARQUBE_TOOLSETS und SONARQUBE_READ_ONLY schränken die Liste ein.
- Daten und Datenschutz
- Ein User-Token liest alles, was dieser Nutzer sehen darf, bei aktivem sources-Toolset auch Rohquellcode über get_raw_source. Der gehostete Endpunkt läuft auf Sonars Infrastruktur; die OAuth-Scopes mcp:tools:read und mcp:tools:write trennen Lese- und Schreibzugriff. Selbst betriebene Server senden anonyme Telemetrie, sofern nicht TELEMETRY_DISABLED=true gesetzt ist. Keine veröffentlichten Sicherheitshinweise.
- Kosten im großen Maßstab
- Der Server ist kostenlos; die Rechnung kommt von SonarQube. Cloud Team beginnt bei 34 $ im Monat für 100.000 Zeilen privaten Code und ist bis 50.000 Zeilen kostenlos; Server wird pro Instanz und Jahr nach Codezeilen angeboten, und über den lizenzierten Zeilen werden neue Analysen abgelehnt. Vortex, Advanced Security (Abhängigkeitsrisiken) und Sonars Agenten sind zusätzliche Abos. Sonar veröffentlicht keine Ratenlimits für den MCP-Endpunkt.
- Grenzen
- Der gehostete Endpunkt hat eine feste, kleinere Tool-Auswahl und kein Vortex; OAuth für SonarQube Server noch nicht unterstützt; mindestens Server 2025.1 oder Community Build 25.1; Server-Verbindungen brauchen ein USER-Token, keine Projekt- oder globalen Tokens. Offene Issues melden dauerhaft scheiternde Aufrufe nach einem Neustart der SonarQube-Instanz.
Was gut ist
- Dieselben Issues, Regeln und dasselbe Quality Gate wie in deiner SonarQube-CI
- Gehosteter Cloud-Endpunkt mit OAuth, kein Docker nötig
- Nur-Lese-Modus und Filter pro Toolset sparen Kontext
- Abdeckungs-Tools auf Zeilenebene zum Schreiben fehlender Tests
- Häufige Releases direkt von SonarSource
Was nicht
- Ohne Abo für SonarQube Cloud oder Server wenig Nutzen
- Schreib-Tools standardmäßig aktiv; ein Agent kann Befunde als False Positive markieren
- Snippet-Analyse schickt ganze Dateien durch den Kontext, solange du keinen Workspace mountest
- Vortex-Analyse braucht ein kostenpflichtiges Enterprise-Add-on und stdio
- Telemetrie standardmäßig an; Source-Available-Lizenz, kein Open Source
Am besten für
Teams, die Merges bereits über SonarQube freigeben und wollen, dass ihr Coding-Agent dieses Gate erfüllt, bevor ein Pull Request geöffnet wird.
Alternativen zu SonarQube MCP Server
SonarQube MCP Server: häufige Fragen
- Lohnt sich SonarQube MCP Server?
- Wenn deine Merges ohnehin auf ein SonarQube-Quality-Gate warten, liest der Agent dieses Gate damit vor dir; ohne SonarQube-Abo hat er wenig zu bieten. Wir bewerten es mit 4.1 von 5.
- Was kostet SonarQube MCP Server?
- Server kostenlos (SONAR Source-Available License). SonarQube Cloud kostenlos für private Projekte bis 50.000 Codezeilen; Team ab 34 $/Monat für 100.000 Zeilen; Server-Editionen pro Instanz und Jahr nach Codezeilen, nur auf Angebot; Vortex ist ein separates Add-on.
- Welche Nachteile hat SonarQube MCP Server?
- Ohne Abo für SonarQube Cloud oder Server wenig Nutzen; Schreib-Tools standardmäßig aktiv; ein Agent kann Befunde als False Positive markieren; Snippet-Analyse schickt ganze Dateien durch den Kontext, solange du keinen Workspace mountest; Vortex-Analyse braucht ein kostenpflichtiges Enterprise-Add-on und stdio; Telemetrie standardmäßig an; Source-Available-Lizenz, kein Open Source.
- Für wen eignet sich SonarQube MCP Server?
- Teams, die Merges bereits über SonarQube freigeben und wollen, dass ihr Coding-Agent dieses Gate erfüllt, bevor ein Pull Request geöffnet wird.
- Was kostet SonarQube MCP Server für ein Team oder im Produktivbetrieb?
- Der Server ist kostenlos; die Rechnung kommt von SonarQube. Cloud Team beginnt bei 34 $ im Monat für 100.000 Zeilen privaten Code und ist bis 50.000 Zeilen kostenlos; Server wird pro Instanz und Jahr nach Codezeilen angeboten, und über den lizenzierten Zeilen werden neue Analysen abgelehnt. Vortex, Advanced Security (Abhängigkeitsrisiken) und Sonars Agenten sind zusätzliche Abos. Sonar veröffentlicht keine Ratenlimits für den MCP-Endpunkt.
- Ist SonarQube MCP Server sicher für Firmendaten?
- Ein User-Token liest alles, was dieser Nutzer sehen darf, bei aktivem sources-Toolset auch Rohquellcode über get_raw_source. Der gehostete Endpunkt läuft auf Sonars Infrastruktur; die OAuth-Scopes mcp:tools:read und mcp:tools:write trennen Lese- und Schreibzugriff. Selbst betriebene Server senden anonyme Telemetrie, sofern nicht TELEMETRY_DISABLED=true gesetzt ist. Keine veröffentlichten Sicherheitshinweise.
- Was sind die besten Alternativen zu SonarQube MCP Server?
- Die nächsten Alternativen, die wir getestet haben, sind Semgrep MCP, Snyk MCP Server (Snyk Studio) und GitHub MCP Server.
Antworten geprüft am 9. Nov. 2026.
Du entwickelst SonarQube MCP Server? Zeig diese Bewertung auf deiner Website
